有了上面的知识，让我们回顾一下先前讨论的问题，首先，用户调用API的recv函数，程序运行到recv的入口地址处，此时堆栈中拥有用户调用recv的参数和用户代码中CALL [recv]的下一条指令的地址。堆栈如下图：
堆栈指针
[ESP]
堆栈的内容
堆栈内容的含义
0x00000100
0
参数
0x000000fc
len
参数
0x000000f8
buf
参数
0x000000f4
S
参数
0x000000f0
RetUserAddress
用户调用recv的下一条指令的地址
然后程序指针EIP被修改为recv入口处的地址，而入口地址处有一条简单的CALL指令，它使程序将recv的第6个字节的地址压入栈中（因为CALL XXXX占用5个字节，第六个字节被认为为返回地址），然后跳转到我们的无参数无返回值的通用替换函数中去了，好了看看现在堆栈中都有些什么？如图：
堆栈指针
[ESP]
堆栈的内容
堆栈内容的含义
0x00000100
0
参数
0x000000fc
len
参数
0x000000f8
buf
参数
0x000000f4
s
参数
0x000000f0
RetUserAddress
用户调用recv的下一条指令的地址
0x00000ec
RetrecvAddress
recv的第六个字节的地址
首先是参数，其次是用户调用recv后的返回值，然后是recv调用我们的替换函数中的返回值，紧接着就像刚才提到的那样，程序将EBP当前内容压入栈中。如图
堆栈指针[ESP]
堆栈的内容
堆栈内容的含义
0x00000100
0
参数
0x000000fc
len
参数
0x000000f8
buf
参数
0x000000f4
S
参数
0x000000f0
RetUserAddress
用户调用recv的下一条指令的地址
0x00000ec
RetrecvAddress
recv的第六个字节的地址
0x000000e8
OldEBP
保存的旧的EBP的内容，然后[EBP]= 0x000000e8
0x000000e4
OldEBX
保存的旧的EBX的内容
0x000000e0
OldESI
保存的旧的ESI的内容
0x000000dc
OldEDI
保存的旧的EDI的内容，此时[ESP]=0x000000dc
此时我们可以看到，[EBP]为保存的ebp的值，现在对我们没有用处，函数返回前用于恢复EBP的值，[EBP+4]是recv函数的CALL XXXX后面指令的地址(也就是第六个字节的地址)，我们可以通过将此值减去5来得到recv的入口地址，这样在我们所有hook的api函数的列表中进行检索，就可以匹配出用户调用的是哪一个API函数，从而为后面恢复和再次改变该API的入口5字节做准备，因为调用任何我们需要HOOK的API程序都会进入到这个无返回值无参数的函数，所以通过这种方法找到当前HOOK的是哪一个API，从而可以区分不同的API进行特殊的处理。[EBP+8]保存的是用户调用recv后的返回地址，由于我们执行完替换函数后，应该返回到这个地址，而不应该返回到recv的第6个字节处执行，所以我们还是需要保存下这个值，以便在我们用ret返回前把它压栈从而使程序返回到用户调用recv的下一条指令处继续运行。
我们先定义如下函数：
void CommonFunc(void);
我们现在实现它，请注意参考上面堆栈表格。
void CommonFunc(void)
{
DWORD pdwCall; // recv入口地址
DWORD dwRtAddr; // 我们的函数真正要返回的地址
DWORD* pdwParam; // 第一个参数的地址
DWORD dwParamCount; // 参数个数
DWORD dwParamSize; // 所有参数所占用的大小应该=4* dwParamCount
DWORD dwRt; // 返回值
_asm
{
lea EAX,[EBP+4] // recv入口处第6个字节的地址
mov [pdwCall],EAX
mov EAX,[EBP+8] // 用户调用recv(即call XXXX)后面一条指令的地址
mov [dwRtAddr],EAX
lea EAX, [EBP+12] // 第一个参数的地址！
mov [pdwParam],EAX
}
(*pdwCall) -= 5; // 获得recv入口地址
HOOKINFO *hi = findHookInfo(pdwCall); // 通过原始API的入口地址获得此API的相关信息
memcpy(pdwCall,hi->OrgApi5bytes,5); // 恢复被调用API的前5个字节，使下面的代码可以正常调用
// 下面准备进入用户针对此API的替换函数，现准备参数
dwParamCount = hi->ParamCount; // 得到本API的参数个数
dwParamSize = 4*dwParamCount; // 计算参数所占用大小
DWORD pdwESP;
_asm
{
sub esp,[dwParamSize] // 将栈增加，可以容纳参数
mov [pdwESP],esp // 保存当前栈的地址
}
memcpy(pdwESP,pdwParam,dwParamSize);//将用户传递的参数拷贝到栈中
hi->myAPIFunc(); // 调用用户针对此API的替换函数
_asm
{
mov [dwRt],eax // 保存返回值
}
// 如果是CreateProcess，那么继续hook它
pPi = (PROCESS_INFORMATION*)pdwParam[9];
if(strcmpi(pai->szOrgApiName,"CreateProcessA") != 0 || strcmpi(pai->szOrgApiName,"CreateProcessW") != 0)
{
InjectDll(pPi->dwProcessId,m_szDllPathName);
}
// 下面再次修改原始API的前5个字节
memcpy(pdwCall,JMPCODE,5); // #define JMPCODE 0xE8
DWORD* pdwapi = pdwCall[1];
pdwapi[0] = (DWORD) CommonFunc – (DWORD)pdCall – 5; // CommonFunc函数地址的偏移
// 下面准备返回的操作
_asm
{
add esp,[dwParamSize] // 清理我们为了调用真正的替换函数而分配的堆栈里的参数
// 下面弹出所有保存的寄存器值(按照入栈的逆顺序)
pop EDI // 恢复EDI
pop ESI // 恢复ESI
pop EBX // 恢复EBX
// 我们没有改动过EBP的值，所以EBP指向堆栈中OldEBP的位置
mov ESP,EBP
pop EBP // 恢复EBP
// 由于堆栈中还剩下参数和两个返回地址（我们真正要返回的地址和原始API中的第6个字节的地址），所以我们把这些数据也清除出堆栈
add ESP,8 // 清除两个返回地址
mov ECX,[dwParamSize] // 获得参数的大小
add ESP,ECX // 清除参数
mov EAX,[dwRt] // 设置返回值
// 由于调用ret返回时，程序先从堆栈中取出返回地址，所以我们把要真正返回的地址压入堆栈中
mov EDX,[dwRtAddr] // 设置返回地址
push EDX
ret // 返回
}
}
最后要注意得一点是，如果要执行得API函数是CreateProcess，那么应该把它新开启得进程也HOOK掉。以上我们了解了通用替换函数的原理，那么让我们深入的讨论CHookApi类，并且实现它。
--------------------------------------联系我(liutao_free@sohu.com)
--------------------------------------联系我(liutao_free@sohu.com)
联系我(liutao_free@sohu.com)
